cwe_checker

镜像概述与主要用途

cwe_checker是一套用于检测常见漏洞类别的静态分析工具套件，可识别危险函数使用、简单整数溢出等漏洞类型，这些漏洞在形式上被称为Common Weakness Enumerations（CWEs）。其主要目标是帮助分析师快速发现易受攻击的代码路径。

该工具主要针对Linux和Unix系统中常见的ELF二进制文件，基于Ghidra将二进制文件反汇编为统一的中间表示（IR），并在该IR上实现自定义分析。因此，它可运行于Ghidra支持反汇编的所有CPU架构，是固件分析的重要工具。

核心功能与特性

• 易于部署：通过Docker容器快速设置，无需复杂配置
• 多架构支持：分析多种CPU架构的ELF二进制文件，包括x86、ARM、MIPS和PPC
• 可扩展性：基于插件架构，方便扩展新分析功能
• 可配置性：支持自定义配置，如将分析应用于新API
• 结果可视化：可在Ghidra中查看带注释的分析结果
• 工具集成：可作为插件集成到FACT

使用场景与适用范围

• 固件分析：检测嵌入式设备固件中的潜在漏洞
• 二进制安全审计：快速识别ELF二进制文件中的常见弱点
• 多架构二进制分析：支持跨CPU架构的漏洞检测
• 安全研究：辅助研究人员分析漏洞模式和利用路径

详细使用方法与配置说明

安装

使用Docker镜像

最简单的方式是从Docker Hub拉取最新镜像：

• docker pull fkiecad/cwe_checker:latest：基于当前master分支构建的镜像
• docker pull fkiecad/cwe_checker:stable：基于最新稳定发布版本构建的镜像

如需本地构建镜像，执行：

docker build -t cwe_checker .

本地安装

本地构建和安装需先安装以下依赖：

• Rust >= 1.49
• Ghidra >= 9.2

编译并安装：

make all GHIDRA_PATH=/path/to/ghidra_folder  # 替换为实际Ghidra安装路径

使用方法

cwe_checker以二进制文件为输入，通过静态分析运行多项检查，输出发现的CWE警告列表。

Docker方式运行

docker run --rm -v /PATH/TO/BINARY:/input fkiecad/cwe_checker /input

（将/PATH/TO/BINARY替换为本地二进制文件的实际路径）

本地安装后运行

cwe_checker BINARY  # BINARY为目标二进制文件路径

配置与参数

• 配置文件：大部分检查的行为可通过src/config.json配置。修改后需使用--config=src/config.json指定配置文件
• 命令行参数：通过--help查看所有可用参数

裸机二进制支持

cwe_checker提供实验性裸机二进制分析支持，需通过--bare-metal-config指定配置文件。示例配置文件位于bare_metal/stm32f407vg.json（针对STM32F407VG MCU测试）。

已实现的漏洞检查

目前已实现以下分析检查（部分分析可能仅部分实现，由于静态分析的局限性，可能存在误报和漏报）：

• CWE-78：操作系统命令注入（标准运行中默认禁用）
• CWE-119 及其变体 CWE-125 和 CWE-787：缓冲区溢出
• CWE-134：使用外部控制的格式字符串
• CWE-190：整数溢出或环绕
• CWE-215：通过调试信息暴露信息
• CWE-243：创建chroot监狱但未更改工作目录
• CWE-332：PRNG熵不足
• CWE-367：检查时间与使用时间（TOCTOU）竞争条件
• CWE-415：双重释放
• CWE-416：释放后使用
• CWE-426：不可信的搜索路径
• CWE-467：对指针类型使用sizeof()
• CWE-476：空指针解引用
• CWE-560：使用带chmod风格参数的umask()
• CWE-676：使用潜在危险函数
• CWE-782：暴露的IOCTL访问控制不足

集成到其他工具

Ghidra插件

cwe_checker提供Ghidra脚本，可解析分析结果并在反汇编器中注释发现的CWE。脚本位于ghidra_plugin/cwe_checker_ghidra_plugin.py，使用说明包含在文件中。

FACT集成

cwe_checker可作为插件集成到FACT（固件分析和比较工具）。

许可证

Copyright (C) 2018 -       Fraunhofer FKIE  (***)

This library is free software; you can redistribute it and/or
modify it under the terms of the GNU Library General Public
License as published by the Free Software Foundation; either
version 3 of the License, or (at your option) any later version.

This library is distributed in the hope that it will be useful,
but WITHOUT ANY WARRANTY; without even the implied warranty of
MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU
Library General Public License for more details.

You should have received a copy of the GNU General Public License
along with this program.  If not, see <[***]>.